РЕШЕНИЕ НА КОМИСИЯТА
от 31 януари 2011 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Държавата Израел във връзка с автоматизираното предаване на лични данни
(нотифицирано под номер C(2011) 332)
(текст от значение за ЕИП)
(2011/61/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след като се консултира с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни към трета държава може да се извършва само ако въпросната трета държава осигурява адекватно ниво на защита и ако законодателствата на държавите-членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватно ниво на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква нивото на защита на данните да бъде преценявано с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни, или на набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Правната система на Държавата Израел не се основава на писана конституция, макар че Върховният съд на Държавата Израел е предоставил конституционен статут на някои „основни закони“. Тези „основни закони“ се допълват от голяма по обем съдебна практика, тъй като израелската правна система се придържа в съществена степен към принципите на обичайното право. Правото на личен живот е включено в раздел 7 от т.нар. „Основен закон: човешко достойнство и свобода“.
(6)
Правните стандарти за защита на личните данни в Държавата Израел до голяма степен се основават върху стандартите, установени в Директива 95/46/ЕО, и са посочени в Закона за защита на неприкосновеността на личния живот 5741-1981, изменен за последен път през 2007 г., с цел да се установят нови изисквания за обработване на личните данни и да се утвърди подробна организация на надзорния орган.
(7)
Това законодателство за защита на данните се допълва още от правителствени решения относно прилагането на Закона за защита на неприкосновеността на личния живот 5741-1981 и относно организацията и функционирането на надзорния орган, които до голяма степен се основават на препоръките, формулирани в доклада до Министерството на правосъдието, изготвен от Комитета за преглед на законодателство, свързано с бази данни („доклад Шофман“).
(8)
Разпоредби за защита на данните се съдържат също и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормите в областта на здравеопазването и публичните регистри.
(9)
Правните стандарти за защита на данните, приложими в Държавата Израел, обхващат всички основни принципи, необходими за адекватно ниво на защита на физическите лица във връзка с обработването на лични данни в автоматизирани бази данни. Глава 2 от Закона за защита на неприкосновеността на личния живот 5741-1981, в която се определят принципите за обработване на личните данни, не се прилага за обработването на лични данни в неавтоматизирани бази данни (ръчни бази данни).
(10)
Прилагането на правните стандарти за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Израелския орган за законодателство, информация и технологии (ИОЗИТ), който разполага с правомощия за разследване и намеса и който действа напълно независимо.
(11)
Израелските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува израелското право, и също така дадоха уверения, че израелското законодателство за защита на данните се прилага в съответствие с това тълкуване. Настоящото решение се основава на тези обяснения и уверения и следователно е обусловено от тях.
(12)
Поради това следва да се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни съгласно Директива 95/46/ЕО по отношение на автоматизираното международно предаване на лични данни от Европейския съюз към Държавата Израел и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. От друга страна, международното предаване на лични данни от ЕС към Държавата Израел, при което самото предаване, както и последващата обработка на данните се осъществяват изключително чрез неавтоматизирани средства, не следва да бъде предмет на настоящото решение.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано, въпреки констатирането на адекватна защита.
(14)
Констатациите в настоящото решение относно адекватността на защитата на данните се отнасят до Държавата Израел, както е определена в съответствие с международното право. По-нататъшно последващо предаване на получател извън Държавата Израел, както е определена в съответствие с международното право, следва да се счита за предаване на лични данни на трета държава.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на адекватност на защитата на лични данни по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. В своето благоприятно становище работната група окуражи израелските органи да приемат допълнителни разпоредби, които разширяват обхвата на прилагането на израелското законодателство, така че в него да се включат и ръчните бази данни, и които изрично признават прилагането на принципа на пропорционалност към обработването на лични данни в частния сектор и тълкуват изключенията при международното предаване на данни в съответствие с критериите, посочени в нейния Работен документ за общо тълкуване на член 26, параграф 1 от Директива 95/46/ЕО (2). Това становище беше взето предвид при изготвянето на настоящото решение (3).
(16)
Комитетът, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО, не изготви становище в срока, определен от неговия председател,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз, по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които то подлежи на допълнителна автоматизирана обработка в Държавата Израел.
2. Компетентният надзорен орган в Държавата Израел относно прилагането на правните стандарти за защита на данните е Израелският орган за законодателство, информация и технологии (ИОЗИТ), посочен в приложението към настоящото решение.
Член 2
1. Настоящото решение се отнася единствено до нивото на адекватна защита, осигурено в Държавата Израел, както е определена в съответствие с международното право, за да се отговори на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не влияе по никакъв начин върху други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
2. Настоящото решение се прилага в съответствие с международното право. То не засяга статута на Голанските възвишения, Ивицата Газа и Западния бряг, включително Източен Ерусалим, съгласно разпоредбите на международното право.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правата, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Държавата Израел с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен израелски орган е установил, че получателят нарушава приложимите стандарти за защита; или
б)
когато е налице голяма вероятност да са нарушени стандартите на защита, има основателни причини да се смята, че компетентният израелски орган не взема или няма да вземе подходящите и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за засегнатите лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Държавата Израел, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират стандартите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки информират незабавно Комисията за мерките, приети на основание член 3.
2. Държавите-членки и Комисията се информират взаимно за случаите, при които действията, предприети от органите, отговорни за гарантиране на спазването на стандартите за защита в Държавата Израел, не успеят да гарантират тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира спазването на стандартите за защита в Държавата Израел, не изпълнява действително своята роля, Комисията уведомява за това компетентния израелски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което би могло да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Държавата Израел е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин. По-специално тя наблюдава обработването на лични данни в ръчни бази данни.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на неговото нотифициране.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 31 януари 2011 година.
32011D0061
L 027/39
SLUŽBENI LIST EUROPSKE UNIJE
ODLUKA KOMISIJE
od 31. siječnja 2011.
sukladno Direktivi 95/46/EZ Europskog parlamenta i Vijeća o odgovarajućoj zaštiti osobnih podataka u Državi Izrael s obzirom na automatiziranu obradu osobnih podataka
(priopćeno pod brojem dokumenta C(2011) 332)
(Tekst značajan za EGP)
(2011/61/EU)
EUROPSKA KOMISIJA,
uzimajući u obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom prijenosu takvih podataka (1), a posebno njezin članak 25. stavak 6.,
nakon savjetovanja s Europskim nadzornikom za zaštitu podataka,
budući da:
(1)
Sukladno Direktivi 95/46/EZ, od država članica zahtijeva se da se prijenos osobnih podataka trećoj zemlji može izvršiti samo ako ta treća zemlja osigura odgovarajuću razinu zaštite i ako su zakoni država članica kojima se provode druge odredbe Direktive ispoštovani prije prijenosa.
(2)
Komisija može utvrditi da treća zemlja osigurava odgovarajuću razinu zaštite. U tom se slučaju osobni podaci smiju prenositi iz države članice bez potrebe za dodatnim jamstvima.
(3)
Sukladno Direktivi 95/46/EZ, razinu zaštite podataka treba procijeniti na temelju svih okolnosti vezanih za postupak prijenosa podataka ili skup postupaka za prijenos podataka te s obzirom na elemente koji su bitni za prijenos, a navedeni su u članku 25. Direktive.
(4)
S obzirom na različite pristupe zaštiti podataka u trećim zemljama, trebalo bi provesti procjenu primjerenosti i svaku odluku koja se temelji na članku 25. stavku 6. Direktive 95/46/EZ trebalo bi donijeti i provesti tako da ne bude proizvoljne ili neopravdane diskriminacije protiv trećih zemalja ili između njih ako u njima prevladavaju slični uvjeti, niti da se stvori prikrivena prepreka za trgovanje, uzimajući u obzir postojeće međunarodne obveze Europske unije.
(5)
Pravni sustav Države Izrael nema pisani ustav, nego određene „temeljne zakone” kojima je Vrhovni sud Države Izrael dodijelio ustavni status. Navedene „temeljne zakone” dopunjuje opsežna sudska praksa, budući da se izraelski pravni sustav u velikoj mjeri pridržava načela common law-a. Pravo na privatnost uključeno je odjeljak 7. „Temeljnoga zakona o ljudskom dostojanstvu i slobodi”.
(6)
Pravni standardi za zaštitu osobnih podataka u Državi Izrael u velikoj se mjeri temelje na standardima koji su utvrđeni Direktivom 95/46/EZ i Zakonom o zaštiti privatnosti 5741-1981, zadnje izmijenjen 2007. godine kako bi se uspostavili novi zahtjevi za obradu osobnih podataka i detaljna organizacija nadzornoga tijela.
(7)
Navedeno zakonodavstvo o zaštiti podataka dodatno nadopunjuju vladine odluke o provedbi Zakona o zaštiti privatnosti 5741-1981 te o organizaciji i radu nadzornoga tijela, koje se u velikoj mjeri temelje na preporukama koje je u Izvješću Ministarstvu pravosuđa dao Odbor za ispitivanje zakonodavstva koje se odnosi na baze podataka (Schoffmanovo izvješće).
(8)
Odredbe o zaštiti podataka također se nalaze u brojnim pravnim instrumentima koji uređuju različite sektore, kao što je zakonodavstvo za financijski sektor, zdravstvo i javne registre.
(9)
Pravni standardi za zaštitu podataka koje se primjenjuju u Državi Izrael obuhvaćaju sva temeljna načela potrebna za odgovarajuću razinu zaštite fizičkih osoba u odnosu na obradu osobnih podataka u automatiziranim bazama podataka. Poglavlje 2. Zakona o zaštiti privatnosti 5741-1981, koje utvrđuje načela za obradu osobnih podataka, ne primjenjuje se na obradu osobnih podataka u neautomatiziranim (ručnim) bazama podataka.
(10)
Primjenu pravnih standarda za zaštitu podataka jamče upravna i pravna sredstva te neovisni nadzor koji provodi nadzorno tijelo, Izraelsko tijelo za zakonodavstvo, informacije i tehnologiju (ILITA), koje je ovlašteno za istraživanje i intervenciju a koje djeluje potpuno neovisno.
(11)
Izraelska tijela za zaštitu podatka dala su objašnjenja i jamstva u vezi s tumačenjem izraelskog zakona te jamstva da se izraelsko zakonodavstvo vezano uz zaštitu podataka provodi u skladu s takvim tumačenjem. Ova Odluka uzima u obzir ta objašnjenja i jamstva i stoga o njima ovisi.
(12)
Državu Izrael stoga bi trebalo promatrati kao državu koja pruža odgovarajuću razinu zaštite osobnih podataka kako je navedeno u Direktivi 95/46/EZ u vezi s automatiziranim međunarodnim prijenosom osobnih podataka iz Europske unije u Državu Izrael, ili neautomatiziranim prijenosom kada se daljnja automatizirana obrada provodi u Državi Izrael. Ova Odluka ne obuhvaća međunarodni prijenos osobnih podataka iz EU-a u Državu Izrael ako se sam prijenos kao i naknadna obrada podataka izvode isključivo u neautomatiziranom obliku.
(13)
U interesu transparentnosti i s ciljem očuvanja sposobnosti nadležnih tijela u državama članicama da osiguraju zaštitu pojedinaca u odnosu na obradu njihovih osobnih podataka, potrebno je odrediti posebne okolnosti kad suspenzija prijenosa posebnih podataka može biti opravdana bez obzira na postojanje odgovarajuće zaštite.
(14)
Nalazi primjerenosti u vezi s ovom Odlukom odnose se na Državu Izrael, kako je utvrđeno u skladu s međunarodnim pravom. Daljnji prijenos primatelju izvan Države Izrael, kako je utvrđeno u skladu s međunarodnim pravom, trebalo bi smatrati prijenosom osobnih podataka u treću zemlju.
(15)
Radna skupina o zaštiti pojedinaca s obzirom na obradu osobnih podataka, koja je osnovana prema članku 29. Direktive 95/46/EZ, dala je povoljno mišljenje o razini zaštite osobnih podataka u odnosu na automatizirani međunarodni prijenos osobnih podataka iz Europske unije ili neautomatizirani prijenos kada se daljnja automatizirana obrada provodi u Državi Izrael. Radna skupina je u svom povoljnom mišljenju potaknula izraelska tijela na usvajanje daljnjih propisa koji bi primjenu izraelskog zakonodavstva proširili na ručne baze podataka koje izrijekom priznaju primjenu načela proporcionalnosti na obradu osobnih podataka u privatnom sektoru i koje izuzetke u međunarodnom prijenosu podataka tumače u skladu s kriterijima navedenima u njezinom „Radnom dokumentu o zajedničkom tumačenju članka 26. stavka 1. Direktive 95/46/EZ” (2). Ovo mišljenje uzeto je u obzir u pripremi ove Odluke (3).
(16)
Odbor osnovan na temelju članka 31. stavka 1. Direktive 95/46/EZ nije donio mišljenje u roku koji je propisao njegov predsjednik,
DONIJELA JE OVU ODLUKU:
Članak 1.
1. Za potrebe članka 25. stavka 2. Direktive 95/46/EZ, smatra se da Država Izrael pruža odgovarajuću razinu zaštite za osobne podatke prenesene iz Europske unije u odnosu na automatizirani međunarodni prijenos osobnih podataka iz Europske unije ili neautomatizirani prijenos kada se daljnja automatizirana obrada provodi u Državi Izrael.
2. Nadzorno tijelo Države Izrael nadležno za primjenu pravnih standarda o zaštiti podataka u Državi Izrael je „Izraelsko tijelo za zakonodavstvo, informacije i tehnologiju (ILITA)” iz Priloga ovoj Odluci.
Članak 2.
1. Ova se Odluka odnosi samo na primjerenost zaštite koju pruža Država Izrael, kako je utvrđeno u skladu s međunarodnim pravom, u svrhu udovoljavanja zahtjevima članka 25. stavka 1. Direktive 95/46/EZ i ne utječe na druge uvjete ili ograničenja u vezi s provedbom drugih odredaba navedene Direktive koji se odnose na obradu osobnih podataka u državama članicama.
2. Ova se Odluka primjenjuje u skladu s međunarodnim pravom. Ona ne dovodi u pitanje status Golanske visoravni, Pojasa Gaze ni Zapadne obale, uključujući Istočni Jeruzalem, na temelju uvjeta međunarodnog prava.
Članak 3.
1. Ne dovodeći u pitanje njihove ovlasti za poduzimanje mjera kojima bi se osiguralo poštovanje nacionalnih odredaba koje su usvojene sukladno ostalim odredbama Direktive 95/46/EZ osim onih iz članka 25., nadležna tijela država članica mogu izvršavati svoje postojeće ovlasti u smislu suspenzije protoka podataka primatelju u Državi Izrael kako bi se zaštitili pojedinci s obzirom na obradu njihovih osobnih podataka u sljedećim slučajevima:
(a)
ako nadležno izraelsko tijelo utvrdi da primatelj krši važeće standarde zaštite, ili
(b)
ako postoji značajna vjerojatnost da se krše standardi zaštite; ako postoje opravdani razlozi za vjerovanje da nadležno izraelsko tijelo ne poduzima ili neće poduzeti odgovarajuće i pravovremene mjere za rješavanje slučaja o kojemu je riječ; ako bi nastavak prijenosa stvorio neposredni rizik ozbiljne štete ispitanicima, a nadležna tijela u državi članici učinila su sve što su mogla u danim okolnostima kako bi obavijestila stranku odgovornu za obradu podataka u Državi Izrael i dala joj mogućnost za odgovor.
2. Suspenzija prestaje čim se osiguraju standardi zaštite te se o tome obavijesti nadležno tijelo dotičnih država članica.
Članak 4.
1. Države članice bez odlaganja obavješćuju Komisiju kad se usvoje mjere na temelju članka 3.
2. Države članice i Komisija međusobno se obavješćuju o slučajevima u kojima djelovanje tijela odgovornih za osiguravanje usklađenosti s normama zaštite u Državi Izrael ne uspije osigurati takvu usklađenost.
3. Ako informacije prikupljene u skladu s člankom 3. i stavcima 1. i 2. ovog članka dokazuju da tijelo odgovorno za osiguravanje usklađenosti sa standardima zaštite u Državi Izrael ne ispunjava svoju ulogu učinkovito, Komisija obavještava nadležna izraelska tijela te prema potrebi dostavlja nacrt mjera u skladu s postupkom iz članka 31. stavka 2. Direktive 95/46/EZ radi ukidanja ili suspendiranja ove Odluke ili ograničenja njezina područja primjene.
Članak 5.
Komisija nadzire provedbu ove Odluke te izvješćuje Odbor osnovan u skladu s člankom 31. Direktive 95/46/EZ o svim relevantnim nalazima, uključujući bilo koji dokaz koji bi mogao utjecati na nalaz iz članka 1. ove Odluke, da je zaštita u Državi Izrael primjerena u smislu članka 25. Direktive 95/46/EZ te bilo koji dokaz o tome da se ova Odluka provodi na diskriminirajući način. Ona osobito nadzire obradu osobnih podataka u ručnim bazama podataka.
Članak 6.
Države članice poduzimaju sve mjere potrebne za usklađivanje s ovom Odlukom u roku od tri mjeseca od datuma njezina priopćenja.
Članak 7.
Ova je Odluka upućena državama članicama.
Sastavljeno u Bruxellesu 31. siječnja 2011.